最小限のセキュリティ プラットフォームに関する次のガイドラインは、ネットワーク セキュリティの柱に沿ったものです。
ベーシック レベルのガイドライン
まず、次のネットワーク セキュリティ ガイドラインを実装します。
| 項目 | デフォルト ネットワークの作成をブロックする |
|---|---|
| 説明 |
デフォルト ネットワークは、内部通信パスを許可する IPv4 ファイアウォール ルールが事前入力された自動モードの Virtual Private Cloud（VPC）ネットワークです。通常、この設定は本番環境で推奨されるセキュリティ対策ではありません。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1-47 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
| 項目 | 限定公開の Google アクセスを有効にする |
|---|---|
| 説明 | すべてのサブネットでプライベート Google アクセスを有効にします。 プライベート Google アクセスを有効にすると、サービスは外部 IP アドレスを持たないサービスにアクセスできます。 Cloud de Confiance by S3NS デフォルトでは、プライベート Google アクセスは新しいリソースで有効になっていません。明示的に有効にするには、追加の手順が必要です。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.52 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
中級レベルのガイドライン
基本ガイドラインを実装したら、次のネットワーク セキュリティ ガイドラインを実装します。
| 項目 | Cloud Armor ポリシーを使用する |
|---|---|
| 説明 | Cloud Load Balancing の背後で公開されているアプリケーションの場合は、Google Cloud Armor のデフォルト ポリシーを使用するか、独自のポリシーを構成して、外部に公開されているアプリケーションやサービスにレイヤ 3 からレイヤ 7 までのネットワーク保護を追加します。Cloud Armor セキュリティ ポリシーは、レイヤ 7 フィルタリングを提供することでアプリケーションを保護します。これらのポリシーは、一般的なウェブ攻撃やトラフィックを妨げる可能性のある他のレイヤ 7 属性のリクエストも確認し、トラフィックがロード バランシングされたバックエンド サービスまたはバックエンド バケットに到達する前にブロックします。各セキュリティ ポリシーは、レイヤ 3 からレイヤ 7 の属性を含む一連のルールで構成されています。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.49 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
| 項目 | アウトバウンド トラフィックを制限する |
|---|---|
| 説明 | デフォルトではすべてのアクセスが許可されているため、外部ソースへのアクセスを制限します。下り（外向き）トラフィックの想定されるパターンに対して、特定のファイアウォール ルールを設定します。 デフォルトでは、システムがインターネットへのアウトバウンド接続を行うことが許可されていることが多く、これはセキュリティ上のリスクと見なされる可能性があります。デフォルト拒否ポリシーは送信トラフィックをブロックし、既知の必要な宛先に対してのみ特定のルールを作成する必要があります。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.50 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
| 項目 | SSH ポートと RDP ポートへの上り（内向き）アクセスを制限する |
|---|---|
| 説明 | 可能な場合は、特定のリソースとリソース範囲へのインバウンド アクセスのみを制限します。Identity-Aware Proxy（IAP）が構成されている場合は、上り（内向き）の SSH とリモート デスクトップ プロトコル（RDP）のファイアウォール ルールの送信元を IAP IP 範囲に設定します。 SSH と RDP のファイアウォール ルールが緩すぎると、ブルート フォース攻撃が可能になります。代わりに、SSH と RDP に Cloud de Confiance by S3NS ID 認識プロキシ（IAP など）を使用します。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.51 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
上級レベルのガイドライン
中間のガイドラインを実装したら、次のネットワーク セキュリティ ガイドラインを実装します。
| 項目 | VPC Service Controls を有効にする |
|---|---|
| 説明 | VPC Service Controls を追加の保護レイヤとして有効にして、データ損失の可能性を防ぎます。 VPC Service Controls は、クラウド リソース、センシティブ データ、ネットワークの周囲に隔離の境界を作成することで、データの引き出しを防ぐことができます。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.48 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |